BeyondTrust称2025年微软Office披露157个漏洞

网络安全公司BeyondTrust近日发布了《2026微软漏洞报告》，为我们审视过去一年的软件安全态势提供了一个关键切片。报告显示，微软在2025年共披露了1273个漏洞，相比2024年的1360个，总量下降了约6.4%。单看这个数字，似乎形势在好转？别急，真正的故事藏在细节里。

总量下降的背后，是高风险漏洞数量的急剧攀升。报告指出，2025年高危漏洞数量达到了157个，相比上一年的78个，增幅超过101%。这传递出一个清晰的信号：对于企业安全团队而言，单纯关注漏洞总数已经不够了，评估风险的“影响强度”正变得前所未有的重要。

那么，攻击者的策略到底在如何演变？报告从漏洞类型中找到了线索。权限提升类漏洞占据了全部CVE的40%，而信息泄露类漏洞也同比增长了73%。这一变化颇具深意，它暗示攻击者的焦点正在从过去那种大张旗鼓的入侵，转向更为隐蔽的战术——先侦察，再提权，最后在系统内部进行横向移动。这种“慢工出细活”的方式，往往更难被传统防御手段察觉。

这种趋势在云和业务平台层面表现得尤为敏感。以Azure和Dynamics 365为例，虽然漏洞总数略有下降，但其高危漏洞数量却从4个激增至37个。这背后反映了一个根本性的转变：今天的云平台早已超越了简单的基础设施角色，它深度整合了身份管理、业务流程自动化和企业控制平面等核心功能。因此，一个云平台上的高危漏洞，其破坏力可能远超数据泄露本身，足以导致整条业务链条的瘫痪。

报告中提及的一个案例恰好说明了这种风险的严重性。2025年7月修复的Entra ID高危漏洞（CVE-2025-55241），据称允许攻击者伪造能被任意租户接受的身份令牌，而且不会在受害者的审计日志中留下任何痕迹。这种级别的漏洞，对于依赖云身份服务的企业来说，无疑是噩梦般的场景。

视线转回终端和服务器侧，情况同样不容乐观。Windows操作系统的漏洞总数有所下降，但高危漏洞的数量依然维持在高位。具体来看，Windows Server的漏洞总数增至780个，其中50个被标记为高危；Windows客户端系统的漏洞为612个，内含36个高危漏洞。

在所有产品中，Office套件的安全变化最为突出，堪称本次报告的“焦点”。其漏洞总数从47个跃升至157个，同比大增234%；而高危漏洞更是从仅有的3个，急剧跳升到31个。这一数据提醒我们，那些日常办公中频繁使用的、看似普通的应用程序，正在成为攻击者新的重点目标。